Sebuah kelemahan kerancuan tipe data pada perangkat lunak PostgreSQL memungkinkan pengguna basis data yang memiliki hak pembuatan objek untuk mengeksekusi kode berbahaya langsung di dalam server. Pembaruan resmi yang diterbitkan kemarin telah menambal persoalan krusial ini bersama dengan 51 kerentanan keamanan lainnya. Agar terlindungi secara menyeluruh dari potensi bahaya ini, pengelola sistem juga diharuskan mengompilasi ulang seluruh ekstensi bahasa C yang telah terpasang pada infrastruktur server bersangkutan.
Kelemahan teknis yang diidentifikasi dengan kode CVE-2026-6460 ini mencatatkan skor keparahan CVSS pada level 8,8. Setiap instruksi yang dieksekusi melalui celah tersebut secara otomatis akan memperoleh tingkat hak akses yang setara dengan akun pengguna sistem operasi yang mengoperasikan layanan PostgreSQL. Masalah serius ini berdampak luas pada seluruh varian perangkat lunak sebelum hadirnya versi 18.7, versi 17.12, versi 16.16, versi 15.20, serta versi 14.25.
Pihak PostgreSQL Global Development Group yang bertindak sebagai pengembang resmi basis data ini menegaskan bahwa belum ada catatan insiden serangan siber aktif yang mengeksploitasi celah itu. Penilaian keamanan yang tercantum pada pangkalan data CVE milik lembaga CISA juga mencatat tingkat pemanfaatan serangan saat ini masih pada taraf nihil.
Kerentanan mendasar ini bersumber dari tata kelola tipe komposit, yakni sebuah skema bentukan yang tersusun atas berbagai bidang bernama yang masing-masingnya menyimpan tipe data tersendiri. Karakteristik tipe dari bidang tersebut sebenarnya masih dapat diganti ketika nilai-nilai lama dari tipe bersangkutan tetap tersimpan dan tertahan pada area memori lain di dalam server.
Kondisi demikian menyebabkan server dapat secara keliru membaca muatan lama seolah-olah muatan tersebut sudah mengadopsi format baru. Langkah penanganan yang dipaparkan dalam dokumen catatan rilis proyek menambahkan mekanisme validasi versi yang ketat supaya sistem server mampu mendeteksi keberadaan data yang tidak lagi selaras dengan format tipenya.
Peneliti keamanan bernama Mehmet Ince berhasil mendemonstrasikan metode eksploitasi fungsional atas celah ini pada instalasi PostgreSQL 18.6, sebagaimana diungkapkan lewat sebuah tulisan teknis yang baru dipublikasikan pekan ini.
Teknik pengujian miliknya diawali dengan menyiapkan kueri penampung nilai, mengubah definisi tipe salah satu bidang data, kemudian mengeksekusi kueri terancang tersebut. Artikel teknisnya melampirkan baris perintah SQL yang mampu melumpuhkan server tanpa tambalan hingga mogok, berikut tahap kedua yang berhasil membocorkan alamat memori sistem. Namun, panduan tersebut sengaja tidak memuat skrip SQL langkah final yang memerintahkan server menjalankan eksekusi perintah sewenang-wenang.
Dalam laporannya, dia menyampaikan bahwa ia sanggup “memicu kegagalan sistem ini hanya bermodalkan peran akun masuk dengan hak istimewa paling rendah.” Sementara itu, lembar imbauan keamanan dari pengembang proyek sekadar mengidentifikasi pelaku sebagai pihak yang berwenang membikin objek, tanpa memaparkan secara gamblang jenjang hak akses spesifik yang dibutuhkan.
Red Hat selaku distributor paket PostgreSQL menguraikan dalam tinjauan CVE bahwa penyerang memerlukan autentikasi login basis data dengan wewenang menciptakan atau memodifikasi objek. Kendati demikian, tidak ada satupun rujukan yang mengonfirmasi apakah akun standar bermodal hak bawaan sanggup melangkah lebih jauh dari sekadar merusak kestabilan sistem demi menjalankan kode berbahaya.
Ince berhasil menelusuri bahwa akar kerentanan ini berasal dari penyesuaian fungsi tanggal 5 Mei 2004, saat PostgreSQL perdana mendukung pergantian tipe kolom. Adapun metode pengeksekusian kode yang dirancangnya bergantung penuh pada modifikasi lanjutan yang diterapkan pengembang pada 14 Mei 2015 silam.
Ia juga menyesuaikan paket eksploitasi tersebut agar berfungsi pada berbagai layanan komputasi awan PostgreSQL terkelola, lalu membagikan berkas konsep serangan secara rahasia kepada tim pengembang terkait pada bulan Agustus. Sederet penyedia layanan yang dihubunginya mencakup AWS (Aurora dan RDS), Microsoft (Azure PostgreSQL), Google (AlloyDB), Supabase, Databricks, serta Ubicloud. Ulasan tersebut tidak merinci perkembangan status tambalan terkini pada tiap penyedia platform awan tersebut.
Manajemen proyek secara resmi memberikan penghargaan kepada belasan kontributor yang melaporkan temuan CVE-2026-6460, termasuk sang peneliti yang sekaligus tercatat atas lima temuan kerentanan lain pada pembaruan berkala ini.
Dari total 52 lubang keamanan yang dibereskan, sebanyak 32 masalah diberikan skor tinggi 8,8. Berdasarkan indeks kerentanan, hanya terdapat satu celah pada server yang tidak menuntut proses otentikasi maupun tindakan dari pengguna. Masalah bernomor CVE-2026-116322 ini memungkinkan klien tak terdaftar memicu prosedur muat ulang paksa pada layanan server PostgreSQL 18.
Beberapa perbaikan tambahan juga menyasar aplikasi sisi klien. Berkas arsip modifikasi berbahaya tercatat mampu memicu utilitas pg_restore menjalankan program jahat atas nama hak pengguna aktif. Selain itu, mesin sumber data yang telah disusupi dapat memaksa perkakas psql mengeksekusi instruksi tak dikenal lewat pemanfaatan skrip pemulihan yang terselip pada berkas tar hasil keluaran pg_dump.
